DROPプラットフォームでカリフォルニア州民のデジタルフットプリント削減が可能に

カリフォルニア州の住民は、ワンクリックで自分のデータの削除を要求できるようになりました。しかし、州の新しい規制への準備が整っていない企業は、コンプライアンス対応に追われることになりそうです。

2023年、カリフォルニア州議会はDelete Act(削除法)を可決しました。この法律は、州民が自身の個人情報とプライバシーに対する管理権を得られるようにすることを目的としています。この新法における要件の一つが、消費者が600社以上の登録データブローカーに対して同時にデータ削除を要求できる、無料の一元管理型プラットフォームの構築でした。この単一プラットフォームは「Delete Request and Opt-out Platform(DROP)」として知られるようになり、カリフォルニア州プライバシー保護局(CPPA)によって管理され、8月1日に正式にローンチします。

それまでに、データブローカー(消費者に知らせることなく個人情報を収集し第三者に販売することを認識している事業者)は、DROPを通じて行われた削除要求の処理を開始しなければなりません。第三者には、広告主、小売企業、政治キャンペーン、家主、債権回収業者などが含まれる可能性があります。社会保障番号、位置情報、閲覧履歴、メールアドレス、健康情報、購買習慣などは、危険にさらされているデータのほんの一例に過ぎません。

DROPへの登録は当初1月1日に開始され、CPPAによると6月時点で30万人以上のカリフォルニア州民が登録を済ませています。来月以降、ブローカー各社は45日ごとにプラットフォームを確認し、削除要求を特定した上で自社データベースと安全に照合し、対応を取ることが義務付けられます。

米国では20を超える州が、消費者の要求に応じて個人データを削除することを義務付けるデータプライバシー法を可決または制定しており、これは欧州連合(EU)の一般データ保護規則(GDPR)における「忘れられる権利」に類似したものです。しかし、カリフォルニア州の新法は、より厳格なコンプライアンスのひな型となる可能性があります。自動車の排出ガス基準やCCPA自体がそうであったように、カリフォルニア州経済の規模の大きさゆえに、同州の規制は全米に波及することになります。

円滑な導入は「おそらく非現実的」

カリフォルニア州民は難なく登録を済ませたように見えますが、企業にとってはDelete Actへの準拠が、準備状況によっては難しい課題となるかもしれません。ブローカー側のコンプライアンス対応としては、返金不可の年間手数料の支払い、DROPアカウントの開設、取得テストの実施、報告要件の遵守、そして不正なアカウントアクセスを防ぐための十分なセキュリティ対策の維持などが求められます。

Stoel Rivesのパートナーであり、同社の人工知能(AI)・プライバシー・サイバーセキュリティグループの共同議長を務めるJohn Pavolotsky氏は、今月からDelete Actのコンプライアンス対応を始める企業は、やるべきことが山積みになっていると警告します。理論的には、数カ月前には対応に着手しておくべきだったと同氏は付け加えます。

Pavolotsky氏は、州がブローカー支援のために展開したリソースについて言及しました。その中には、合成データによる削除要求を使ってシステムをテストできるサンドボックス環境も含まれています。

「物事が比較的スムーズに進むことを願っています」とPavolotsky氏はDark Reading誌に語ります。「しかし現実的な話として、581社のデータブローカーと32万5,000人の[消費者]が順番待ちの列にいることを考えると、すべてが完全に順調に進むと想定するのは、おそらく非現実的でしょう」

オプトアウト要求の膨大な殺到は、組織にとって課題となる可能性があり、その答えは自動化にあるかもしれません。個人データの販売・共有からのオプトアウトを自動化する仕組みとして、ユーザーがウェブサイトに対して自分の個人情報を共有・保存してほしくない旨を伝えられるブラウザ設定「Global Privacy Control」がありますが、これは削除には適用されない、とPavolotsky氏は述べます。

カリフォルニア州は、この種の削除メカニズムを試験導入する最初の州であり、より広範な適用に向けたひな型としての役割を担っています。8月1日を迎えた後、州がこの試験期間を、企業が誠実に取り組んでいる限り技術的なコンプライアンスの不完全さを容認しながら問題点を洗い出す機会と捉えるのか、それとも初日から厳格な取り締まりを行うのか、企業側にも見えてくることになります。

進捗状況は8月末までに明らかになってくるだろう、とPavolotsky氏は述べ、コンプライアンス対応に時間をかけてこなかった企業はおそらく苦労することになるだろうと改めて指摘します。しかし、DROPの運用がうまくいけば、他の州にも追随を促すことになるでしょう。

「これは要件が不当だったり曖昧だったりするからではなく、新しい仕組みであり新しいシステムであるがゆえに、困難な取り組みになると思います」と同氏は付け加えます。「そして確かに、カリフォルニアは大きな州ですが、これはデータブローカー企業が抱える数多くのコンプライアンス要件のうちの一つに過ぎません」

ユーザーにはより簡単な削除ボタンが必要

Delete ActとDROPプラットフォームは、2018年のカリフォルニア州消費者プライバシー法(CCPA)制定に続く、同州のより厳格なプライバシー法の自然な帰結と言えます。それ以降、ユーザーデータの所在や誰がそれを手にしているかを追跡することがますます不透明になる中で、データプライバシーの確保はより重要性を増してきました。

ユーザーのデジタル権利を擁護する非営利団体、電子フロンティア財団(EFF)は、こうした法律の可決を後押しするいくつかのリスクを指摘しています。データブローカーはしばしば、個人の連絡先情報をスパム業者に提供しており、これを削除できれば、迷惑な望まれないメッセージを減らし、個人情報の露出を制限することでサイバーセキュリティを向上させることができます。第二に、個人データを保有する企業が少なくなれば、データ漏洩通知が絶えず相次いでいる現状からも分かるように、侵害発生時のリスクも小さくなります。

「そして第三に、これによって自分の個人情報がどのように収集・利用されるかについて、より大きなコントロールを行使する機会が得られます。これはプライバシーの重要な要素です」と、EFFで州政策担当ディレクターを務めるHayley Tsukayama氏はブログ記事に記しています。

消費者にはデータ削除を要求する権利があるものの、実際にその要求を行うことは「非常に時間がかかり、面倒なプロセスだ」とTsukayama氏は付け加えます。DROPは、要求をカリフォルニア州のブローカー登録簿と結び付けることで、このプロセスを大幅に簡略化すると同氏は述べています。

このワンストップ型のデータ削除の仕組みは、カリフォルニア州におけるデータ保護にとって理にかなっているとPavolotsky氏も同意します。「プライバシーはカリフォルニア州議会の最優先事項であり、暗黙のうちに州民の最優先事項でもあります」と同氏は語ります。